CVE-2026-76318
Beschreibung
In den Splunk Enterprise-Versionen unter 10.4.2, 10.2.6, 10.0.9 und 9.4.14 kann ein Benutzer, der eine Rolle mit der Funktion schedule search innehat, ein bösartiges Skript in einem Alarm-Trigger-Zustandsfeld speichern. Wenn ein anderer Benutzer den erstellten Link öffnet, läuft das Skript im Browser dieses Benutzers und kann auf alle Daten zugreifen, die diesem Benutzer zur Verfügung stehen. Die Sicherheitsanfälligkeit ist möglich, da Splunk Web den Alarmschwellenwert im generierten Alarm-Trigger-Zustands-Markup verwendet, ohne Sonderzeichen zu entkommen. Eine erfolgreiche Nutzung erfordert, dass ein anderer Benutzer den erstellten Link öffnet. Weitere Informationen finden Sie unter Konfigurieren von Alarmauslösebedingungen (https://help.splunk.com/en/splunk-enterprise/alert-and-respond/alerting-manual/10.4/manage-alert-trigger-conditions-and-throttling/configure-alert-trigger-conditions) und Definieren von Rollen auf der Splunk-Plattform mit Funktionen (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.2/manage-splunk-plattform-users-and-roles/define-roles-on-the-splunk-plattform-with-capabilities) in der Splunk-Dokumentation.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Auf eine behobene Version aktualisieren: 9.4.14, 10.0.9, 10.2.6, 10.4.2.
Empfohlene Schritte
- Betroffene Systeme identifizieren: splunk splunk.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.